ವರ್ಚುವಲ್ pfSense TAP ಸೇತುವೆ: ಫ್ರೇಮ್ ಸಾಯಬಹುದಾದ ಮೂರು ಸ್ಥಳಗಳು
ಸೇತುವೆ, ಅದರ ಸದಸ್ಯರು ಮತ್ತು ವರ್ಚುವಲ್ ಸ್ವಿಚ್ ಪ್ರತಿಯೊಂದೂ ಪ್ರತ್ಯೇಕವಾಗಿ ನಿರ್ಧರಿಸುತ್ತವೆ. ಮಾರ್ಗದಲ್ಲಿ ಎಂದೂ ಇರದ ನಿಯಂತ್ರಣವನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವ ಮೊದಲು ಯಾವ ಮಾಲೀಕ ಫಿಲ್ಟರ್ ಮಾಡಿದೆಂದು ಕಂಡುಹಿಡಿಯಿರಿ.
ನೀವು LAN ಇಂಟರ್ಫೇಸ್ನಲ್ಲಿ ನಿಯಮವನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುತ್ತೀರಿ, ಫ್ರೇಮ್ ಇನ್ನೂ ಕಣ್ಮರೆಯಾಗುತ್ತದೆ, ಮತ್ತು ತೀರ್ಮಾನವೆಂದರೆ pfSense ತನ್ನದೇ ಫೈರ್‌ವಾಲ್ ಅನ್ನು ನಿರ್ಲಕ್ಷಿಸುತ್ತಿದೆ. ಸಾಮಾನ್ಯವಾಗಿ ನಡೆದದ್ದು ಏನೆಂದರೆ ಬೇರೆ ಮಾಲೀಕ ನಿರ್ಧಾರ ತೆಗೆದುಕೊಂಡಿದ್ದಾನೆ: ಸೇತುವೆ ಸ್ವತಃ, ಸದಸ್ಯ ಇಂಟರ್ಫೇಸ್, ಅಥವಾ ಅತಿಥಿಯ ಹೊರಗಿನ ವರ್ಚುವಲ್ ಸ್ವಿಚ್. ಪ್ರತಿಯೊಂದಕ್ಕೂ ತನ್ನದೇ ನಿಯಂತ್ರಣ ಮತ್ತು ತನ್ನದೇ ಲಾಗ್ ಇದೆ.
ಕೆಳಗಿನ ಮೂರು ಗಡಿಗಳನ್ನು ಯಾವುದೇ ಸೆಟ್ಟಿಂಗ್ ಬದಲಿಸುವ ಮೊದಲು ಪ್ರತ್ಯೇಕಿಸುವುದು ಉತ್ತಮ, ಏಕೆಂದರೆ ಒಂದನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವುದು ಇನ್ನೊಂದನ್ನು ಸರಿದೂಗಿಸಲಾರದು.
ಒಂದು ಫ್ರೇಮ್, ಮೂರು ನೀತಿ ಮಾಲೀಕರು
TAP ಕ್ಲೈಂಟ್‌ನ ಫ್ರೇಮ್ ಟನಲ್ ಸಾಧನದ ಮೂಲಕ ಪ್ರವೇಶಿಸುತ್ತದೆ, pfSense ಸೇತುವೆಯನ್ನು ದಾಟುತ್ತದೆ, LAN ಸದಸ್ಯದ ಮೂಲಕ ಹೊರಹೋಗುತ್ತದೆ, ನಂತರ ಯಾವುದನ್ನೂ ತಲುಪುವ ಮೊದಲು ವರ್ಚುವಲ್ ಸ್ವಿಚ್ ಮೂಲಕ ಹಾದುಹೋಗುತ್ತದೆ. ಅತಿಥಿಯ ಒಳಗೆ ಫಿಲ್ಟರಿಂಗ್ ಸೇತುವೆಯಲ್ಲಿ ಅಥವಾ ಸದಸ್ಯ ಇಂಟರ್ಫೇಸ್‌ಗಳಲ್ಲಿ ನಡೆಯಬಹುದು, ಮತ್ತು ಯಾವುದು ಸಕ್ರಿಯ ಎಂಬುದು ಸ್ಥಿರ ಗುಣವಲ್ಲ, ಸಂರಚನೆಯ ಆಯ್ಕೆ. ಅತಿಥಿಯ ಹೊರಗೆ ಹೈಪರ್‌ವೈಸರ್ ಆ ವರ್ಚುವಲ್ ಅಡಾಪ್ಟರ್ ತನ್ನದಲ್ಲದ ಮೂಲ MAC ನೊಂದಿಗೆ ಫ್ರೇಮ್‌ಗಳನ್ನು ಕಳುಹಿಸಬಹುದೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ. ಆ ಯಾವುದೇ ಹಂತದಲ್ಲಿ ಡ್ರಾಪ್ ಕ್ಲೈಂಟ್‌ನ ದೃಷ್ಟಿಯಿಂದ ಒಂದೇ ರೀತಿ ಕಾಣುತ್ತದೆ.
ತನಿಖೆಗೆ ಮೊದಲು ಉದ್ದೇಶಿತ ಮಾರ್ಗವನ್ನು ಬರೆಯಿರಿ: ಟನಲ್ ಸದಸ್ಯ, ಸೇತುವೆ, LAN ಸದಸ್ಯ, ವರ್ಚುವಲ್ ಸ್ವಿಚ್, ಗಮ್ಯಸ್ಥಾನ. ನಂತರ ಆ ಮಾರ್ಗದಲ್ಲಿ ಯಾವ ಮಾಲೀಕ ಫ್ರೇಮ್ ಅನ್ನು ನೋಡುತ್ತಿದ್ದನೆಂದು ಕೇಳಿ.
ಯಾವ pfSense ನಿಯಂತ್ರಣ ಫಿಲ್ಟರ್ ಮಾಡುತ್ತಿದೆ
pfSense ಇದಕ್ಕಾಗಿ ಎರಡು sysctl ಗಳನ್ನು ದಾಖಲಿಸುತ್ತದೆ, ಒಂದು ಸೇತುವೆ ಸದಸ್ಯರ ಮೇಲೆ ಫಿಲ್ಟರಿಂಗ್‌ಗೆ ಮತ್ತು ಒಂದು ಸೇತುವೆಯ ಮೇಲೆಯೇ ಫಿಲ್ಟರಿಂಗ್‌ಗೆ, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಕನಿಷ್ಠ ಒಂದಾದರೂ ಸಕ್ರಿಯವಾಗಿರಬೇಕು. ಸೇತುವೆ ಮಟ್ಟದ ಫಿಲ್ಟರಿಂಗ್ ಸೇತುವೆ ಸದಸ್ಯರ ಮೂಲಕ ಬರುವ ಸಂಚಾರಕ್ಕೆ ಅನ್ವಯಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಅದು ದಿಕ್ಕಿನ ದೃಷ್ಟಿಯಿಂದ ಒಳಬರುವಂತಹದು, ಸಮ್ಮಿತೀಯವಲ್ಲ. ವಾಸ್ತವವಾಗಿ ಫಿಲ್ಟರ್ ಮಾಡುತ್ತಿರುವ ಇಂಟರ್ಫೇಸ್ನಲ್ಲಿ ನಿಯಮಗಳನ್ನು ಓದಿ, ಏಕೆಂದರೆ ಫಿಲ್ಟರ್ ಪಾತ್ರವಿಲ್ಲದ ಸದಸ್ಯನ ಮೇಲೆ ಹಾಕಿದ ನಿಯಮ ಏನನ್ನೂ ಮಾಡುವುದಿಲ್ಲ. ಸೇತುವೆ ಫಿಲ್ಟರಿಂಗ್ ದಾಖಲೆ ಮಾಲೀಕತ್ವವನ್ನು ವಿವರಿಸುತ್ತದೆ.
IP ವಿಳಾಸವಿಲ್ಲದ ಸದಸ್ಯ ಇಂಟರ್ಫೇಸ್‌ಗೆ ತನ್ನದೇ ಆದ ವಿಳಾಸ ಅಥವಾ ಉಪಜಾಲ ಮ್ಯಾಕ್ರೋ ಇರುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಆ ಮ್ಯಾಕ್ರೋ ವಿರುದ್ಧ ಬರೆದ ನಿಯಮ ನೀವು ಉದ್ದೇಶಿಸಿದ LAN ಹೊರತುಪಡಿಸಿ ಬೇರೆ ಯಾವುದನ್ನಾದರೂ ವಿವರಿಸಬಹುದು. ಸೌಲಭ್ಯದ ಮ್ಯಾಕ್ರೋಗಳ ಬದಲು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ನಿಗದಿಪಡಿಸಿದ ಜಾಲ ವಸ್ತುಗಳನ್ನು ಬಳಸಿ.
ಫ್ರ್ಯಾಗ್ಮೆಂಟ್ ಫ್ರೇಮ್ ಅಲ್ಲ
ಇಥರ್ನೆಟ್ ಫ್ರೇಮ್‌ಗಳು IP ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಸಾಗಿಸುತ್ತವೆ, ಮತ್ತು IP ಪ್ಯಾಕೆಟ್ ದೊಡ್ಡ ಡೇಟಾಗ್ರಾಮ್‌ನ ಫ್ರ್ಯಾಗ್ಮೆಂಟ್ ಆಗಿರಬಹುದು, ಆದ್ದರಿಂದ ಆ ಎರಡು ಪದಗಳು ಪರಸ್ಪರ ಬದಲಾಯಿಸಲಾಗದವು. ಟನಲ್‌ನ ಒಳಗೆ ಒಳ ಪ್ಯಾಕೆಟ್ ಮತ್ತು ಅದರ ಹೊರಗೆ ಹೊರ ಸಾಗಣೆ ಪ್ಯಾಕೆಟ್ ಕೂಡ ಇರುತ್ತದೆ, ಮತ್ತು ವೈಫಲ್ಯ ಎರಡರಲ್ಲಿ ಯಾವುದಕ್ಕಾದರೂ ಸೇರಿರಬಹುದು. ಸಣ್ಣ ping ಆ ಸ್ಟಾಕ್ ಮೂಲಕ ಒಂದು ಮಾರ್ಗವನ್ನು ಪರೀಕ್ಷಿಸುತ್ತದೆ ಮತ್ತು ದೊಡ್ಡ ವರ್ಗಾವಣೆಯ ಬಗ್ಗೆ ಏನನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. ಎರಡು ಹೊಂದಿಕೊಂಡ ಗಡಿಗಳಲ್ಲಿ ವಿಫಲವಾದ ವಿನಿಮಯವನ್ನು ಹೋಲಿಸಿ ಮತ್ತು ನಿಯಮವನ್ನು ದೂಷಿಸುವ ಮೊದಲು ಡ್ರಾಪ್‌ನ ಕಾರಣವನ್ನು ಓದಿ.
ಫ್ರ್ಯಾಗ್ಮೆಂಟ್‌ಗಳು ಕಣ್ಮರೆಯಾದರೆ, ಉತ್ತರವೆಂದರೆ ಸೀಮಿತ ತಿದ್ದುಪಡಿ ಅಥವಾ ಪ್ಯಾಕೆಟ್ ಗಾತ್ರದ ತನಿಖೆ, ಫಿಲ್ಟರಿಂಗ್ ಅನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವ ನಿರ್ಧಾರವಲ್ಲ.
ಹೈಪರ್‌ವೈಸರ್‌ಗೆ ತನ್ನದೇ ಪ್ರವೇಶ ನಿರ್ಧಾರವಿದೆ
ಇತರ ಯಂತ್ರಗಳಿಗೆ ಸಂಚಾರವನ್ನು ಸೇತುವೆ ಮಾಡುವ ಅತಿಥಿ ತನ್ನದೇ ಅಡಾಪ್ಟರ್‌ನದಲ್ಲದ ಮೂಲ MAC ವಿಳಾಸಗಳನ್ನು ಹೊಂದಿರುವ ಫ್ರೇಮ್‌ಗಳನ್ನು ಹೊರಸೂಸುತ್ತದೆ, ಮತ್ತು ಪೋರ್ಟ್ ಗುಂಪು ಅನುಮತಿಸದಿದ್ದರೆ ಅನೇಕ ವರ್ಚುವಲ್ ಸ್ವಿಚ್‌ಗಳು ಅದನ್ನು ಸ್ಪೂಫಿಂಗ್ ಎಂದು ಪರಿಗಣಿಸುತ್ತವೆ. ಆ ಪ್ರಸರಣಕ್ಕೆ ಅನುಮತಿ ನೀಡುವುದು ಮತ್ತು ಅಡಾಪ್ಟರ್‌ಗೆ ಪ್ರತಿ ಫ್ರೇಮ್ ಸ್ವೀಕರಿಸಲು ಅನುಮತಿ ನೀಡುವುದು ಪ್ರತ್ಯೇಕ ನಿಯಂತ್ರಣಗಳು, ಮತ್ತು ಎರಡನ್ನೂ ಎಲ್ಲೆಡೆ ಸಕ್ರಿಯಗೊಳಿಸುವುದು ಸಮಸ್ಯೆಗೆ ಬೇಕಾದುದಕ್ಕಿಂತ ದೊಡ್ಡ ಬದಲಾವಣೆ. ಸೇತುವೆ ಯಾವ ಫ್ರೇಮ್‌ಗಳನ್ನು ಸ್ವೀಕರಿಸಬೇಕು ಮತ್ತು ಯಾವುದನ್ನು ಹೊರಸೂಸಬೇಕು ಎಂದು ನಿರ್ಧರಿಸಿ, ನಂತರ ಆ ವರ್ತನೆಯನ್ನು ಅದರ ಮಾಲೀಕತ್ವವಿರುವ ಗಡಿಯಲ್ಲಿ ಮಾತ್ರ ನೀಡಿ. ದೂರದಿಂದ ನಿರ್ವಹಿಸುವ ಸೇತುವೆಯನ್ನು ಬದಲಿಸುವ ಮೊದಲು ಕನ್ಸೋಲ್ ಪ್ರವೇಶವನ್ನು ಉಳಿಸಿಕೊಳ್ಳಿ.
ಸಂಪರ್ಕವನ್ನು ಪುನಃಸ್ಥಾಪಿಸುವುದು ಪರೀಕ್ಷೆಯ ಅರ್ಧ; ಉಳಿದ ಅರ್ಧವೆಂದರೆ ತಡೆಯಲ್ಪಟ್ಟಿರಬೇಕಾದ ಹರಿವು ಇನ್ನೂ ತಡೆಯಲ್ಪಟ್ಟಿದೆ ಎಂದು ದೃಢೀಕರಿಸುವುದು.
ಯಾವ ಮಾಲೀಕ ಫಿಲ್ಟರ್ ಮಾಡಿದ, ಯಾವ ನಿಯಂತ್ರಣ ಬದಲಾಯಿತು ಮತ್ತು ಯಾವ ಎರಡು ಹರಿವುಗಳನ್ನು ನೀವು ಪರಿಶೀಲಿಸಿದಿರಿ ಎಂದು ದಾಖಲಿಸಿ. ಆ ದಾಖಲೆ ಮುಂದಿನ ಘಟನೆ pfSense ತನ್ನನ್ನು ನಿರ್ಲಕ್ಷಿಸುತ್ತಿದೆ ಎಂಬ ಅದೇ ಊಹೆಯಿಂದ ಆರಂಭವಾಗದಂತೆ ತಡೆಯುತ್ತದೆ.